Eine VPC enthält mehrere VPC-Endpunkte für Amazon S3. Ein Entwickler benötigt eine S3-Bucket-Richtlinie, die sicherstellt, dass der Zugriff auf den Bucket nur dann erlaubt ist, wenn Anfragen über diese VPC-Endpunkte erfolgen. Welche Lösung erfüllt diese Anforderung?

Um sicherzustellen, dass der Zugriff auf den S3-Bucket nur über bestimmte VPC-Endpunkte erfolgt, muss die Bucket-Richtlinie alle erlaubten VPC-Endpunkt-IDs explizit auflisten. Die Bedingung aws:SourceVpce prüft die ID des VPC-Endpunkts, über den die Anfrage gestellt wird. Durch die Verwendung von StringNotEquals wird der Zugriff verweigert, wenn die Anfrage NICHT von einem der gelisteten Endpunkte stammt. Das Auflisten aller Endpunkt-IDs in einer einzigen Richtlinie ist die korrekte und effizienteste Methode. Das Erstellen mehrerer Richtlinien ist umständlich und nicht die Best Practice. Die Verwendung von aws:SourceVpc würde die gesamte VPC und nicht spezifische Endpunkte einschränken. Ein Platzhalter wie vpce ist in IAM-Bedingungen für aws:SourceVpce nicht direkt unterstützt.